BKDR_MATSNU
Trustezeb
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
バックドア型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
詳細
インストール
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Application Data%\{random folder name}\{random file name 1}.exe
- %User Temp%\{random file name 2}.pre
(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
他のシステム変更
マルウェアは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random folder name}\{random file name 1}.exe"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegedit = "1"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableRegedit = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableTaskMgr = "1"
マルウェアは、以下のレジストリキーを削除します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}hi.com/images/1.php
- http://{BLOCKED}isx.com/ca.php
- http://{BLOCKED}isxf.com/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}ldezovc.com/img/1.php
- http://{BLOCKED}solde.com/images/1.php
- http://{BLOCKED}rfe.com/img/1.php
- http://{BLOCKED}rz.com/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}z.com/ad.php
- http://{BLOCKED}pvsje.com/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}soldevsje.com/af.php
- http://{BLOCKED}xdv.com/img/1.php
- http://{BLOCKED}-oum.com/twep.php
- http://{BLOCKED}xrz.com/as.php
- http://{BLOCKED}zxrz.com/inbox.php
- http://{BLOCKED}zxrz.com/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}esscorn.net/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}fwieg.com/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}wieg.com/aa.php
- http://{BLOCKED}wieg.com/inbox.php
- http://{BLOCKED}wiw.com/img/1.php
- http://{BLOCKED}dkiu.com/odriwsd/forum.php
- http://{BLOCKED}ebspace-apo.com/inbox.php
- http://{BLOCKED}ebspace-apo.com/user-057708/forumv.php
- http://{BLOCKED}ehppf.com/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}nlines.com/inbox.php
- http://{BLOCKED}hppf.com/aa.php
- http://{BLOCKED}omn.com/images/1.php
- http://{BLOCKED}online.com/inbox.php
- http://{BLOCKED}solderx.net
- http://{BLOCKED}solderx.net/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}solderxx.com/ag.php
- http://{BLOCKED}solderxx.com/inbox.php
- http://{BLOCKED}story.net/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}rect-proxy.com/inbox.php
- http://{BLOCKED}nvw.com/TPR0-QQWSKA-423PZS.php
- http://{BLOCKED}-gt.com/inbox.php